А мне нравится банк
U
7618
пинайте.... что с 1 марта меняется для физ. лиц в ТОЧКЕ? Если кратко?
скачай файлик
http://www.bank24.ru/documents/tariffs_personal_01...
щас жирным изменения выделены (!) наконец то
фихня, цену до 5 % подняли за отдельные операции
привели в соотвествии с рынком
Перечитывал Банкир.ру и попалась фраза, которую не смог здесь не процитировать :-)
Электронная цифровая подпись - это единственный реальный механизм обеспечения аутентичности (обеспечение авторства и целостности) электронного документа. Всё
остальное - таблицы одноразовых паролей, динамические пароли, OTP-аутентификация (One Time Password) - это не более чем инструменты более строгой аутентификации клиента/пользователя.
ПыСы: Д.Репан - отец-основатель системы iBank (компания Бифит), не самый последний человек в системах интернет-банкинга.
и ещё немного :-)
К примеру, в России все организации и частные предприниматели пользуются услугами электронного банкинга (Банк-Клиент, Интернет-Банкинг) исключительно с использованием механизма ЭЦП под электронными документами.
Та же ситуация и с частными клиентами - подавляющее число российских банков предоставляет частным клиентам услуги электронного банкинга также с механизмом ЭЦП под электронными документами.
Хотя в последнее время несколько "прогрессивных" российских банков, без оглядки копирующих опыт зарубежных коллег, решили возложить риски по убыткам на свои плечи и предлагают клиентам упрощенные механизмы защиты информации под красивым термином "Аналог собственноручной подписи". На практике используются:
- долговременный длинный пароль для подтверждения платежных операций
- таблицы одноразовых паролей для подтверждения платежных операций
- OTP-токены (Vasco Go3, NG-OTP Aladdin и пр.), генерирующие одноразовые пароли как функции на базе семмитричных криптоалгоритмов от времени/состояния и секреного ключа
- "калькуляторы подписей" в виде отдельных девайсов (см. решения Vasco) и Java-мидлетов для мобильных телефонов
В прицнипе, ИМХО, ограничивая суммы и типы совершаемых через Интернет-Банкинг платежных операций при соответствующем учете рисков и возложении всех убытков на плечи банков вполне допустимо использование вышеописанных "сурогатов" по аналогии с зарубежными банками.
У зарубежных соседей безусловно надо перенимать опыт и лучшие идеи, но безоглядно наступать на все грабли, набивать шишки и брать на вооружение явные рудименты - глупо.
На самом деле всё зависит от используемых технологий и качества реализации решения с использованием механизма ЭЦП, помноженные на финансовые риски клиента и банка.
[Сообщение изменено пользователем 20.02.2007 21:09]
ПыСы: Д.Репан - отец-основатель системы iBank (компания Бифит), не самый последний человек в системах интернет-банкинга.
и ещё немного :-)
К примеру, в России все организации и частные предприниматели пользуются услугами электронного банкинга (Банк-Клиент, Интернет-Банкинг) исключительно с использованием механизма ЭЦП под электронными документами.
Та же ситуация и с частными клиентами - подавляющее число российских банков предоставляет частным клиентам услуги электронного банкинга также с механизмом ЭЦП под электронными документами.
Хотя в последнее время несколько "прогрессивных" российских банков, без оглядки копирующих опыт зарубежных коллег, решили возложить риски по убыткам на свои плечи и предлагают клиентам упрощенные механизмы защиты информации под красивым термином "Аналог собственноручной подписи". На практике используются:
- долговременный длинный пароль для подтверждения платежных операций
- таблицы одноразовых паролей для подтверждения платежных операций
- OTP-токены (Vasco Go3, NG-OTP Aladdin и пр.), генерирующие одноразовые пароли как функции на базе семмитричных криптоалгоритмов от времени/состояния и секреного ключа
- "калькуляторы подписей" в виде отдельных девайсов (см. решения Vasco) и Java-мидлетов для мобильных телефонов
В прицнипе, ИМХО, ограничивая суммы и типы совершаемых через Интернет-Банкинг платежных операций при соответствующем учете рисков и возложении всех убытков на плечи банков вполне допустимо использование вышеописанных "сурогатов" по аналогии с зарубежными банками.
У зарубежных соседей безусловно надо перенимать опыт и лучшие идеи, но безоглядно наступать на все грабли, набивать шишки и брать на вооружение явные рудименты - глупо.
[Сообщение изменено пользователем 20.02.2007 21:09]
ш
шамиль марватович
У зарубежных соседей безусловно надо перенимать опыт и лучшие идеи, но безоглядно наступать на все грабли, набивать шишки и брать на вооружение явные рудименты - глупо.
Вы бы вместе с Кибервладом (например) или еще с кем из экспертов популярную статью написали на эту тему - для совсем чайников (извиняюсь заранее перед Кибервладом - по ссылкам евонным про ЭЦП не сходил - мозги завернулись после 2-го прочтения статьи "Мифы и реальность применения ЭЦП в России" в Компьютер-прессе ). Вот как в книжке "От архаики управления бизнесом ..." - увлекательно, познавательно и доступно.
И желательно, чтоб после интро в статье сразу про Б24 и его систему с кодиками для физиков. И на пальцах рассказать, что плохого может быть при этом для клиентов и для банка самого. И резюме типа
"Б24 четко все риск-менеджментит и даже при отсутствии ИБ с ЭЦП для физиков в этом плане ему беда не грозит" или "Вся система с кодиками - отстой и даже при суперском уровне риск-менеджмента Б24 ему придет кердык ч-з этот его ИБ для физиков" или ...
Я предметной областью совсем не владею, так что мне б на пальцах.
ЗЫ вроде Б24 не ограничивает ни суммы, ни типы совершаемых через Интернет-Банкинг платежных операций
ЗЗЫ офф: а что юзера Денн не банят? типа, теперь на форуме достаточно желтую рожу перед сообщением нарисовать, а потом всех в уголовщине обвинить? г-на 2игорь и за совсем меньшее в бан отправили вроде.
[Сообщение изменено пользователем 20.02.2007 22:28]
ш
шамиль марватович
2 epv
Просто хочется прочитать все сразу и в одном месте, а не делать умозаключения из постов на этом форуме и ссылок про всякие штуки с ИБ иностранных и наших банков.
И чтоб доступно для чайника было - вот.
ЗЫ я не шучу, в натуре интересно
[Сообщение изменено пользователем 20.02.2007 22:46]
Просто хочется прочитать все сразу и в одном месте, а не делать умозаключения из постов на этом форуме и ссылок про всякие штуки с ИБ иностранных и наших банков.
И чтоб доступно для чайника было - вот.
ЗЫ я не шучу, в натуре интересно
[Сообщение изменено пользователем 20.02.2007 22:46]
Л
Лапшин Сергей
для совсем чайников
Ага, Влад, и мне, блин, объясни по-человечески, почему с ЭЦП масса гимороев с компроментацией ключей (ну ты понял), в т.ч. и у одного вусмерть заэцепированного банка.
А с кодиками у нас ни одного случая?
Ну реально без иронии. Для меня самого это загадка. Тыж понимаешь, что я хорошо разбираюсь на самом деле в сути вопроса и рисках. Может прав был Платон: Критерий истины - практика?
[Сообщение изменено пользователем 20.02.2007 22:51]
U
7618
ЗЫ вроде Б24 не ограничивает ни суммы, ни типы совершаемых через Интернет-Банкинг платежных операций
стартовые условия
20 тыр платеж / 200 тыр в неделю и установлена ответственность точки за левый платеж
если лимит увеличил, то спрос с точки уже никакой
вот хочу сделать адекватный лимит (понизить), а то в свое время завысил его
ненуачо, а почему модер молчит? адын раз в ОАК за титьки забанили на 2 дня осенью 2006 года, вот весь мой послужной список с 2000 года ЗЗЫ офф: а что юзера Денн не банят? типа, теперь на форуме достаточно желтую рожу перед сообщением
нарисовать, а потом всех в уголовщине обвинить?
ну а если молчит и не банит, то значит усе нормуль :-)
ш
шамиль марватович
20 тыр платеж / 200 тыр в неделю и установлена ответственность точки за левый платеж
Э... т.е. когда я 600 тр/1мио ставил, это я подписал бумажку типа "точка при таком случае не при делах"? Не помню просто как оно было. Но что работник банка, принимавший заявление, ничего не говорил типа "если лимит увеличил, то спрос с точки уже никакой" - помню точно.
Жулите что ли, г-н Лапшин? прокомментируйте, насколько заявление "если лимит увеличил, то спрос с точки уже никакой" соответствует действительности? Развернуто пожалуйста.
ну а если молчит и не банит, то значит усе нормуль
Вы негодяй, если внаглую публично обвиняете юзеров форума в уголовщине, и еще и бравируете этим. Совершенно паскудный поступок, на мой взгляд.
[Сообщение изменено пользователем 21.02.2007 00:24]
U
7618
Э... т.е. когда я 600 тр/1мио ставил, это я подписал бумажку типа "точка при таком случае не при делах"? Не помню просто как оно было. Но что работник банка, принимавший заявление, ничего не говорил типа "если лимит увеличил, то спрос с точки уже
никакой" - помню точно.
докуметы на и-банк почитайте, может я ошибаюсь
Вы негодяй, если в наглую публично обвиняете юзеров форума в уголовщине, и еще и бравируете этим. Совершенно паскудный поступок, на мой взгляд.
Вам же ответили.
я написал пост, плюс г-н Раздражитель и г-н 2igor написали . сейчас во всех банках ситуация, когда практически каждого простого человека обвиняют в терроризме-обнале и т.п.
газпромбанк - 10 %тариф, сбербанк - не зачисление и т.п. а простые люди хотели избавиться от наличных оборотов и перейти на безнальные платежи по своих банальным вопросам :-) .
зы. вот сейчас у меня засада будет. оплатил с точечного карт.счета предоплату за авто, авто не тяну в июне 07 года, приходиться отказываться от машины и возвращать предоплату безналом обратно. Куда? обратно на карт-счет и платить комиссию в 3 % ?
S
SWolf
Электронная цифровая подпись - это единственный реальный механизм обеспечения аутентичности (обеспечение авторства и целостности) электронного документа.
ИМХО, в переводе на язык, дружественный пользователю, это звучит примерно так:
"копию ЭЦП невозможно создать "с нуля" и если документ подписан ЭЦП, а клиент говорит, что не подписывал - то ответственность все равно лежит на клиенте (плохо хранил свою ЭЦП)"
i
2igor
[Сообщение удалено пользователем 26.03.2024 12:48]
U
7618
ИМХО, напишите им письмо, чтобы послали на и-счет. Или у них правило, что возвращать только на тот счет, с которого пришло?
уже так и делаю.
вот только бы девочка-бухгалтер-отправитель ничего бы не перепутала
зы. а если возврат возможен только на счет с которого отправлен? пипец котенку, доигрался в безнальные платежи
d
dc
а если возврат возможен только на счет с которого отправлен?
Это абсурд. А если Вы уже закрыли прошлый счет и открыли несколько новых? или вообще не открыли и просите наличные? Другое дело, что у Вас наверняка договор есть и в нём пункт о реквизитах. Уведомите об их изменении вторую сторону по договору.
C
Cybervlad
Вы бы вместе с Кибервладом (например) или еще с кем из экспертов популярную статью написали на эту тему - для совсем чайников (извиняюсь заранее перед Кибервладом - по ссылкам евонным про ЭЦП не сходил - мозги завернулись после 2-го прочтения статьи
"Мифы и реальность применения ЭЦП в России" в Компьютер-прессе ).
Так может, не нам новую статью писать, а Вам просто "дойти" по ссылкам? :-)
1) "Роль криптографии в обеспечении безопасности банковских систем." http://cybervlad.net/crypto_pay/index.html
2) "Электронная подпись или тернистый путь избавления от бумаги." http://cybervlad.net/ecp/index.html
[Сообщение изменено пользователем 21.02.2007 14:29]
C
Cybervlad
Сергей, если это намек на СК, то потрудись привести факты, подтверждающие тезис "масса гимороев".
JFYI: известная тебе процедура комиссионного установления принадлежности ЭЦП НИ РАЗУ не использовалась на практике. Так что "гимороев" с ЭЦП у банка нет.
А с кодиками у нас ни одного
случая?
Ты сам себя спрашиваешь?
Я - не в курсе. Может, ни одного, а может - тысячи.
У Сити проблема есть. Если ее нет у вас, то может дело просто в "неуловимости" (Джо)? :-)
Повторю еще раз: с кодиками проблема - "от рождения". И она не лечится. В то время как последствия угрозы (кстати, трудно реализуемой) хищения ключа и пароля закрываются "на раз".
Ну реально без иронии. Для меня самого это загадка. Тыж понимаешь, что я хорошо разбираюсь на самом деле в сути вопроса и рисках.
Сергей, не юродствуй, плиз, Ок?
Напомню, что когда я поступал на работу в СК, а ты трудился там в чине Советника, ты почему-то акценты расставлял с точностью до наоборот - и ЭЦП у тебя "рулила", и за лицензирование в ФАПСИ/ФСБ ты очень ратовал, и проблем с использованием ключей и InterPRO у тебя не возникало. А тут вдруг ты резко начинаешь изображать человека, нифига не понимающего в IT:
Я тут с трудом асилил всё што вы написали и подумал: какие вы все умные...
Кстати, по поводу:
Ты всерьез считаешь, что у вас шифрование не используется?
Раскрою страшную тайну: используется. Только вот, что характерно, не имеющее сертификата. А есть ли у вас лицензия на оказание услуг в области защиты информации? Ведь вы же предоставляете клиентам "услуги по шифрованию". А это чревато - перечитайте з-н "О лицензировании отдельных видов деятельности", после чего КоАП, особенно пункт 2 статьи 13.12 про конфискацию несертифицированных средств защиты.
Тыж понимаешь, что я хорошо разбираюсь на самом деле в сути вопроса и рисках.
Судя по всему, в данном случае - не очень.
Напомнить историю вопроса, как и почему в вашем и-банке оказались именно карточки с кодиками?
C
Cybervlad
Крипто-Про, Интер-Про под macos x имеются? а я сейчас из под нее пишу.
Нативных - нет.
Интерпро на маке люди запускают (через "обкладку"). На линуксе - тоже без проблем (wine).
Криптопро - мне такие случаи не известны.
C
Cybervlad
Включаю по пути жопорес, вхожу в инет в интернетбанк наш в КПКшную версию.
А давай рассмотрим такую ситуацию: пока ты мочил ноги в море, горничная выкинула нафиг твою бумажку с кодиками. И все! Никто никуда не идет - нет у тебя и-банка.
Вы же 3 года назад из трех предложенных вариантов защиты банально выбрали самый дешевый для банка, и самый геморройный для клиента. Ту же схему с OTP (one-time passwords) можно было реализовать гораздо удобнее и технлогичнее. Но вас не то что за токены (Vasco, RSA Secure ID) или мобильные решения (RSA Mobile ID или самописный аналог) жаба задавила, вы же даже карточки с кодиками на принтерах стали печатать. До сих пор печатаете или хоть заказ разместили?
ш
шамиль марватович
просто "дойти" по ссылкам?
Статья "Роль криптографии в обеспечении безопасности банковских систем." заканчивается на
Из лаборатории - в производство.
Защита информации, в том числе и криптографическими средствами, является достаточно сложной областью человеческой деятельности. Допущенная на стадии разработки ошибка или неточность действий эксплуатирующего персонала могут привести к самым негативным последствиям, выражающимся не только в виде финансовых потерь, но и (что более серьезно) в потере доверия клиентов. В целях недопущения этого деятельность в области защиты информации в России строго регламентирована. Для того чтобы заниматься проектированием, производством, распространением и эксплуатацией средств шифрования, необходимо иметь Лицензию Федерального Агентства Правительственной Связи и Информации при Президенте РФ (ФАПСИ). Разработанные средства шифрования проходят сертификацию в одном из сертификационных центров ФАПСИ и, при положительном результате, получают Сертификат
???
ш
шамиль марватович
Так может, не нам новую статью писать
Лучше написать, чтобы собрать в одно место все, что вы тут на разных страницах писали. Тем более, про случаи проблем банков, исп-х кодики нету.
C
Cybervlad
Да. А в чем вопрос?
Деятельность подлежит лицензированию, продукция (в т.ч. и средства защиты, шифрования) - сертификации. Абзац закончен.
Лучше написать, чтобы собрать в одно место все, что вы тут на разных страницах писали.
Типа сравнительного анализа систем аутентификации и аналогов собственноручной подписи?
План статьи давно лежит, еще бы время на ее написание найти... :-(
ш
шамиль марватович
Да. А в чем вопрос?
Вопрос был в том, конец это статьи или нет. Теперь нет вопроса.
Типа сравнительного анализа систем аутентификации и аналогов собственноручной
подписи?
Типа того, но на бытовом уровне - без погружения в криптологию. Т.е. правовые аспекты разных вариантов реализации аутентификации, примеры из жизни (про Сити, Б24 и тп)
"Б24 четко все риск-менеджментит и даже при отсутствии ИБ с ЭЦП для физиков в этом плане ему беда не грозит" или "Вся система с кодиками - отстой и даже при суперском уровне риск-менеджмента Б24 ему придет кердык ч-з этот его ИБ для физиков" или ...
C
Cybervlad
Так приведенные статьи и так "на пальцах" написаны. "Погружения" в них нет (Вы Applied Cryptology Шнайера почитайте, вот там погружение, да :-) ). А объяснить суть явления, не давая определений базовых понятий - увы, невозможно. Даже если завести речь всего лишь о "кодиках", как минимум, придется давать определение "идентификации" и "аутентификации".
"Б24 четко все риск-менеджментит и даже при отсутствии ИБ с ЭЦП для физиков в этом плане ему беда не грозит" или "Вся система с кодиками - отстой и даже при суперском уровне риск-менеджмента Б24 ему придет кердык ч-з этот его ИБ для физиков" или ...
А вот таких пассажей точно не будет.
Можно сравнивать "родовые" плюсы и минусы систем. А делать выводы будет кирдык или нет конкретному банку можно лишь на основе серьезного аудита. В СК таковой проводился (ФАПСИ, ФСБ ), про 24.ру - не в курсе. Насколько я знаю - нет. Пусть ответят представители Б24.ру.
[Сообщение изменено пользователем 21.02.2007 17:26]
S
SWolf
это Вы все с точки зрения специалиста банка говорите, причем одного из... :-)
ИМХО, картина с точки зрения пользователя упрощенно и понятно выглядит так:
пункт 1: и в СК и в Б24 для входа в ибанк требуется имя и пароль пользователя
пункт 2: и там и там дополнительно требуется ввести некий код, но:
СК:
-код (ЭЦП) единственный, он длительное время не изменяется, для его ввода требуется электронный носитель информации
-создать копии кода=файлов по желанию или без желания владельца, непродвинутого в теории ЭЦП (кухарки, например:-) относительно легко - и здесь ИМХО основная дыра и компроментация самой идеи такого кода для простого массового юзера
-сама идея ЭЦП (практическая невозможность подделки) по сути предохраняет банк от исков юзеров при компроментации ("копию ЭЦП заново создать невозможно, юзер сам виноват - где-то не усмотрел")
Б24:
-коды одноразовые, после использования код не представляет ценности
-размножить набор кодов без желания владельца относительно непросто (пластиккарта со стираемыми полями-валяется в кошельке)
-по утверждению г-на Cybervlad существуют огромные дыры в защите, которые не названы, кроме одной - mitm фишинга. Возможный вред от mitm фишинга и других атак ограничен и причиняется, в основном, банку, а не пользователям (тут спорно, конечно :-)
ИМХО, картина с точки зрения пользователя упрощенно и понятно выглядит так:
пункт 1: и в СК и в Б24 для входа в ибанк требуется имя и пароль пользователя
пункт 2: и там и там дополнительно требуется ввести некий код, но:
СК:
-код (ЭЦП) единственный, он длительное время не изменяется, для его ввода требуется электронный носитель информации
-создать копии кода=файлов по желанию или без желания владельца, непродвинутого в теории ЭЦП (кухарки, например:-) относительно легко - и здесь ИМХО основная дыра и компроментация самой идеи такого кода для простого массового юзера
-сама идея ЭЦП (практическая невозможность подделки) по сути предохраняет банк от исков юзеров при компроментации ("копию ЭЦП заново создать невозможно, юзер сам виноват - где-то не усмотрел")
Б24:
-коды одноразовые, после использования код не представляет ценности
-размножить набор кодов без желания владельца относительно непросто (пластиккарта со стираемыми полями-валяется в кошельке)
-по утверждению г-на Cybervlad существуют огромные дыры в защите, которые не названы, кроме одной - mitm фишинга. Возможный вред от mitm фишинга и других атак ограничен и причиняется, в основном, банку, а не пользователям (тут спорно, конечно :-)
C
Cybervlad
тут спорно, конечно
Вот именно.
Клиент "я не посылал!", банк: "дык вот твой код одноразовый туточки, значит посылал". И чья головная боль?
Более того, такая ситуация может возникнуть и без фишинга. Платежка при использовании кодиков вообще никак не защищена от модификации ее в банке - припишут нолик к сумме, изменять номер счета получателя. При этом "приложенный" к документу кодик останется неизменным.
А в платежке с ЭЦП банк не сможет поменять в документе незаметно ни одной запятой.
Почувствуйте разницу (с)
Угроза кражи ключа ЭЦП и пароля существует только при использовании их в "недоверенной среде", а упереть деньги клиента по "схеме СИТИ" можно даже если он работает на самом защищенном компьютере с самыми последними патчами (потому что нет нужды взламывать этот компьютер). При этом последствия хищения ключа простым движением предотвращаются, а проблема с кодиками не решается.
Почувствуйте разницу - 2 (с)
p.s. Ваши рассуждения о природе ЭЦП в корне неверны, но за неимением времени, я не буду развивать эту тему. Тем более, что в обсуждаемом контексте это и не важно...
T
Tesori
Клиент "я не посылал!", банк: "дык вот твой код одноразовый туточки, значит посылал". И чья головная боль?
у банка есть номер кодика, который введен, вот и пожалуйста: клиент приносит карту и показывает что кодик не вскрыт. вот и все доказательства.
Ю
Юрий Степанович Кабанов
Интерпро на маке люди запускают (через "обкладку"). На линуксе - тоже без проблем (wine).
да, это так.
Криптопро - мне такие случаи не известны.
под вайном работает
ну, блин, ладно я такой умный, соберу, так ведь не все же компилят то, что в руку попадется!!!
PS кактось был у знакомого в офисе, так на его столе валялась дискета с ЭЦП, договор с банком, полагаю и все остальное (ну не роюсь я в чужом), чем можно воспользоваться с положительным результатом. знакомый был обруган мной. карта Б24 с именем пользователя и-банка лежит дома в надежном месте, пароля никто кроме меня не знает, карта с ключиками в кошельке. как без использования методов физического воздействия на мой организм воспользоваться моими средствами? (с маленькой оговоркой, конечно, ведь я доверяю банку) :-)
[Сообщение изменено пользователем 21.02.2007 19:40]
Обсуждение этой темы закрыто модератором форума.